Vérification et transparence des VPN : mécanismes de contrôle des déclarations « sans journaux »
Lorsqu’un service VPN affirme ne conserver aucun journal de connexion, il formule une déclaration technique dont la vérification absolue est, par nature, impossible. En sécurité informatique, il est toujours possible de démontrer qu’un système conserve des données, il n’est en revanche jamais possible de prouver qu’il n’en conserve aucune, partout et en permanence.
Face à cette limite structurelle, l’enjeu n’est donc pas de rechercher une certitude définitive, mais d’évaluer dans quelle mesure cette déclaration est étayée par des mécanismes concrets, vérifiables et régulièrement renouvelés.
Cette page présente les principaux dispositifs utilisés pour encadrer et contrôler les déclarations « sans journaux », ce qu’ils permettent réellement de vérifier, et les limites qu’ils présentent inévitablement.
Mécanismes de contrôle des déclarations « sans journaux » : sommaire
Le point de départ : une contrainte logique, pas une faiblesse technique
La difficulté à vérifier l’absence totale de journaux ne relève ni d’un manque de moyens ni d’un retard technologique. Elle découle d’une contrainte logique : un contrôle ne peut porter que sur ce qui est observable à un instant donné et dans un périmètre défini.
Pour certifier une absence totale et permanente de journaux, il faudrait auditer en continu l’intégralité de l’infrastructure technique :
- Serveurs de production
- Bases de données
- Systèmes de sauvegarde
- Prestataires d’hébergement
- Scripts automatisés
- Accès administrateurs
- Évolutions logicielles
Une telle surveillance exhaustive et permanente relève de la théorie, non d’une pratique opérationnelle réaliste.
Les mécanismes présentés ci-dessous ne constituent donc pas des garanties absolues, mais des éléments d’évaluation à croiser pour apprécier le sérieux et la cohérence d’une déclaration de non-conservation.
Mécanismes de contrôle tiers
Audits indépendants
C’est le mécanisme le plus souvent mis en avant, et aussi le plus mal compris.
Les audits VPN indépendants constituent le mécanisme de vérification le plus structuré. Ils reposent sur l’intervention d’un tiers technique externe chargé d’examiner l’infrastructure d’un service VPN selon un périmètre défini. L’objectif est de vérifier que la configuration ne conserve pas de journaux de connexion exploitables au moment de l’audit.
Ce qu’un audit permet de vérifier concrètement
Un audit sérieux peut inclure l’examen des éléments suivants :
- Configuration des serveurs VPN (paramètres de journalisation actifs)
- Architecture des bases de données (nature des données stockées et durée de conservation)
- Mécanismes de journalisation (système et applicative)
- Scripts automatisés (processus susceptibles de conserver des données)
- Pratiques organisationnelles (accès administrateurs, procédures internes)
Lorsque le périmètre le permet, les auditeurs peuvent également examiner le code déployé en production afin de détecter d’éventuels mécanismes de journalisation non documentés.
Ce que confirme réellement un audit
Un audit atteste d’un état technique vérifié à un instant précis. S’il conclut à l’absence de journaux exploitables et à une architecture limitant structurellement leur conservation, cette vérification possède une valeur réelle : elle indique que, pendant la période d’audit, la déclaration de VPN sans log était techniquement respectée.
Limites structurelles des audits
Les audits présentent toutefois trois limites incompressibles :
- Ponctualité : Un audit est une photographie, non une surveillance continue.
- Périmètre : Aucune infrastructure n’est auditée dans son intégralité absolue.
- Qualité : La valeur d’un audit dépend du cabinet, de la méthodologie et de la transparence sur le périmètre examiné.
Un audit ancien, superficiel ou opaque apporte donc peu d’informations utiles, même s’il est mis en avant dans la communication d’un service.
À retenir sur les audits
- Un audit vérifie une configuration à un instant donné, jamais une pratique permanente
- Sa valeur dépend du périmètre, de la méthodologie et du cabinet
- Un audit récent et renouvelé a beaucoup plus de poids qu’un audit isolé ou ancien
Rapports de transparence
Ils ne prouvent rien techniquement, mais peuvent révéler une cohérence dans la durée.
Les rapports de transparence VPN ne reposent pas sur un examen technique de l’infrastructure. Ils documentent la manière dont un service répond concrètement aux demandes légales de données.
Ce qu’un rapport de transparence apporte
Un rapport structuré indique généralement :
- Le nombre de requêtes légales reçues sur une période donnée
- Leur origine juridictionnelle (police, justice, autorités administratives)
- Leur issue : données fournies ou impossibilité de répondre faute de données conservées
Lorsqu’un service indique de manière récurrente ne pas être en mesure de fournir des données de connexion exploitables, cela constitue un indicateur indirect mais pertinent de cohérence avec sa déclaration technique.
Limites des rapports de transparence
Ces rapports présentent plusieurs limites importantes :
- Auto-déclaration : Ils sont publiés sans vérification tierce.
- Contraintes juridiques : Certaines demandes peuvent être couvertes par des obligations de confidentialité.
- Portée temporelle : Ils décrivent des situations passées, non des capacités futures.
Les rapports de transparence ne sont pas des preuves définitives.
À retenir sur les rapports de transparence
- Ils documentent des faits passés, pas des capacités futures
- Leur intérêt repose sur la régularité et le niveau de détail
- Un rapport isolé ou vague a une valeur limitée
Vérification et transparence des VPN : Signaux complémentaires de crédibilité
Transparence du code des applications clientes
La publication du code source (Open source) des applications VPN clientes permet un examen indépendant du comportement logiciel côté utilisateur. Selon les services, cette transparence peut être :
- Minimale (protocoles publics, pratique standard)
- Partielle (publication de quelques composants)
- Complète (publication de l’intégralité du code des applications clientes)
Même dans ce dernier cas, cette transparence ne permet pas de vérifier les pratiques côté serveur. Elle constitue un signal de bonne foi et d’ouverture au contrôle externe, sans offrir de vérification globale.
À retenir
- Le code client n’est pas le code serveur
- Tous les services n’offrent pas le même niveau de transparence
- C’est un signal complémentaire, pas un mécanisme de vérification directe
Programmes de signalement de vulnérabilités
Les programmes de signalement, tels que les programmes de Bug Bounty, encouragent des chercheurs externes à identifier des failles techniques. Ils témoignent d’une ouverture au contrôle continu et d’une certaine maturité sécuritaire.
Ils ciblent cependant des vulnérabilités exploitables (fuites, erreurs de configuration), pas la vérification de la non-conservation des journaux.
À retenir
- Ils évaluent la sécurité, pas la politique de journaux
- Leur valeur dépend du périmètre et de la réactivité du service
- Ils complètent les audits sans pouvoir les remplacer
Certifications sectorielles
Les certifications sectorielles attestent du respect de référentiels généraux en matière de sécurité et de confidentialité. La VPN Trust Initiative en est le parfait exemple. Elle constitue un signal de professionnalisme, mais ne cible pas spécifiquement la question des journaux de connexion.
Un service peut être certifié tout en conservant certains types de journaux.
À retenir
- Elles valident des bonnes pratiques générales
- Elles ne constituent pas une vérification « sans journaux »
- Elles complètent d’autres mécanismes sans s’y substituer
Évaluer un ensemble, pas un signal isolé
Aucun mécanisme pris isolément ne permet d’établir la fiabilité d’une déclaration de non-conservation. L’évaluation repose sur un croisement de signaux :
- Existence de contrôles tiers
- Régularité de leur renouvellement
- Transparence documentaire
- Cohérence des pratiques dans le temps
Configurations contrastées (à titre illustratif)
Configuration fortement étayée
Audit récent et renouvelé, rapports de transparence réguliers et détaillés, documentation technique accessible, signaux de transparence convergents.
Configuration faiblement étayée
Absence d’audit, absence de rapports, aucune transparence technique documentée.
En pratique
Aucune déclaration « sans journaux » ne doit être évaluée sur un seul critère. La crédibilité repose sur la combinaison de plusieurs mécanismes, leur cohérence dans le temps et leur renouvellement régulier.
Limites structurelles à connaître
Aucun dispositif ne permet de garantir une absence de journaux permanente et en temps réel.
Aucun contrôle ne couvre l’intégralité absolue d’une infrastructure.
Aucun mécanisme ne peut offrir une protection totale face à des contraintes légales futures.
Ces limites n’invalident pas les mécanismes de vérification, elles en rappellent simplement la portée réelle.
Conclusion
Les déclarations de non-conservation des journaux ne peuvent être vérifiées de manière absolue, mais elles peuvent être plus ou moins étayées.
Les audits indépendants et les rapports de transparence constituent la base d’une évaluation sérieuse. Les signaux complémentaires renforcent la crédibilité globale sans s’y substituer.
Comprendre ce que ces dispositifs permettent réellement de vérifier, et ce qu’ils ne garantissent jamais, est essentiel pour évaluer un service VPN de manière informée, sans céder ni aux arguments marketing, ni à une défiance systématique injustifiée.
Pages supplémentaires :